Codeby

​Способы получения обратного соединения (Reverse shell) Доброго времени суток, уважаемые форумчане! Очередная статья будет посвящена еще одному проблемному вопросу, с которым часто приходится сталкиваться студентам курса WAPT при решении задач – это получение обратного шелла. 📌 Читать далее #beginner #pentest

​✖️ Google заблокировал крупнейшую в истории DDoS-атаку Компания Google сообщила о том, что заблокировала крупнейшую в истории DDoS-атаку, которая была нацелена на одного из её клиентов Cloud Armor. Сообщается, что атака достигла 46 миллионов запросов в секунду. Атака была нацелена на HTTP/S Load Balancer и началась с более чем 10 тысяч запросов. Через восемь минут количество запросов увеличилось до 100 тысяч, а ещё через две достигло 46 миллионов. Географическое распространение и типы сервисов, задействованных в атаке, позволяют предположить, что она была запущена ботнетом Meris. «Это самая крупная DDoS атака седьмого уровня, о которой известно на сегодняшний день — по крайней мере, она на 76% превышает ранее зарегистрированный рекорд. Чтобы дать представление о масштабах атаки, это все равно, что получить все запросы к Википедии за день всего за 10 секунд», — рассказали в Google. Напомним, предыдущий рекорд принадлежал Cloudflare, когда компания отразила атаку с 26 миллионами запросов в секунду. 🗞 Блог Кодебай #news #google #ddos

🔥 Подборка самых интересных каналов про IT, хакинг и безопасность. Vektor Security Channel - канал Дмитрия Момота (aka VektorT13). Он рассказывает про антидетекты, методики отслеживания, антифрод системы, отпечатки браузера и др. Один из немногих русскоязычных каналов, который читает Брайн Кребс. Code Camp — книжный лагерь с самым редким и актуальным материалом для программистов любого уровня и направления. Библиотека кибердетектива - телеграм-каталог ресурсов для деанонимизации, пробива, защиты от слежки/кибершпионажа, настройки безопасности и др. Все лучшие инструменты в одном месте. Сохрани в закладки, пригодится.

​🔐 Во «Вконтакте» появилась функция проверки скомпрометированного пароля Во «Вконтакте» появилась функция, которая будет предупреждать пользователей об утечке их паролей в других сервисах. Алгоритм сравнивает пароль пользователя со скомпрометированными базами паролей через сторонние сервисы и, при совпадении, предлагает его сменить. Весь процесс проверки полностью автоматический, пароли проверяются в зашифрованном виде на серверах VK. На данный момент функция доступна в социальной сети «ВКонтакте», но её планируется распространить и на другие сервисы VK. «Ранее можно было увидеть аналогичное предупреждение при попытке создать новый пароль в своём аккаунте VK ID — мы давно не даём использовать данные, которые ранее попадали в базы утечек…», — рассказала директор по экосистемным продуктам VK Ольга Фролова. 🗞 Блог Кодебай #news #vk #data

​📲 VPN на iPhone сливают трафик Специалист по сетевой безопасности Майкл Горовиц сообщил о том, что iOS не полностью пропускает сетевой трафик через VPN, что является потенциальной проблемой безопасности. Apple знает об этом в течение многих лет, но ситуация так и не изменилась. У пользователя создаётся впечатление, что всё работает, ведь сторонний VPN предоставляет новый IP-адрес, DNS-серверы и туннель для трафика. Однако, сеансы и соединения, установленные до включения VPN, не переключаются на зашифрованный канал. По данным компании Proton, такая проблема возникла ещё в iOS 13.3.1 и осталась в более новых версиях системы. По идее, подключение через VPN должно закрывать существующие соединения, но этого не происходит. В Proton также предложили решение — вручную закрывать все соединения, до подключения к VPN, через «режим полёта». 🗞 Блог Кодебай #news #apple #vpn

​🤳 Astra Linux для мобильных устройств Группа компаний «Астра» представила доработанную ОС Astra Linux Special Edition для мобильных устройств, включая планшеты и смартфоны с процессорами на архитектурах ARM, «Эльбрус» и x86-64. Мобильная версия ОС отличается новым интерфейсом, адаптированным для сенсорных экранов, пониженным энергопотреблением, наличием интегрированных российских средств защиты информации и возможностью запускать приложения для Android в изолированном окружении. Отмечается, что Astra Linux Special Edition позволяет переключаться из мобильного режима в десктопный в случае необходимости и наличия внешнего монитора и мышки с клавиатурой, подключённых к мобильному устройству. Также поддерживается другая периферия. Разработчики пояснили, что в настоящий момент целый ряд отечественных программных продуктов корректно работает в среде Astra Linux в мобильном режиме. 🗞 Блог Кодебай #news #smartphone #astra

​🔎 Идентификация пользователей Telegram по IP-адресу Компания «Интернет-поиск» совместно с T.Hunter разработала сервис, который позволяет найти Telegram аккаунт конкретного пользователя по IP-адресу. «За секунду на одном IP-адресе может быть до сотни пользователей. Произвести идентификацию человека можно благодаря возможности собирать большие данные…», — рассказал глава «Интернет-поиск» Игорь Бедеров. На данный момент к сервису поиска аккаунтов подключено 64 различных источника данных. По словам Бедерова, большинство сайтов хранят логи и видят данные об устройстве пользователя. соединении, IP-адресе и т.д. Для поиска сервис получает информацию с нескольких десятков «собственных сайтов» и собирает «цифровые следы» из Telegram с привязкой к пользователю. «Остаётся лишь сопоставить одно с другим», — резюмировал OSINT-исследователь Владимир Макаров. 🗞 Блог Кодебай #news #telegram #data

​Offensive OSINT часть 4 - сбор разведывательных данных по важнейшим объектам инфраструктуры в Юго-Восточной Азии Это вторая часть расследования критической инфраструктуры по всему миру. Со времени последних исследований, я узнал много нового об устройствах промышленных систем управления, их типах или поставщиках, а также об общем подходе к такого рода исследованиям. 📌 Читать далее #beginner #osint

​Аудит безопасности сайта: как защитить самый ценный онлайн-актив компании Назовите успешную компанию без собственного сайта. Правильно, это невозможно. Не занимая определённую нишу в интернете, современный бизнес в принципе не существует для окружающих. Для одних веб-ресурс – лишь визитка, для других – главный инструмент заработка. Но и те и другие не имеют права относиться к сайту беспечно. 📌 Читать далее #pentest

🥷🏻 EasyHacking - Social Engineering Toolkit + NGROK. Добываем данные пользователя. Рубрика роликов про вводную часть в пентест, здесь мы на пальцах будем разбирать те или иные утилиты которые подтолкнут вас в разнообразный мир пентеста. В данном ролике мы научимся создавать "злые" сайты двойники для сборка данных. 🍿 Смотреть видео #beginner #pentest #soceng

​🚰 В России количество утекших записей больше населения страны Аналитический центр InfoWatch представил интересную статистику по утечкам персональных данных. Так, в первом полугодии 2022 года в сеть утекло больше записей ПДн, чем население России. В общей сложности аналитикам удалось зафиксировать 2101 утечку, что на 93,2% выше, чем за аналогичный период прошлого года. В России этот показатель скромнее — в первом полугодии 2022 года — 305 утечек, но это все равно на 45,9% больше, чем в первом полугодии 2021 года. В случае количества скомпрометированных записей ПДн и платежной информации отмечаются противоположные показатели: в этом году слили на 27,8% меньше единиц данных, чем год назад. Эксперты InfoWatch считают, что причина в избирательности киберпреступников, которые в последнее время видят смысл в похищении исключительно ликвидных на чёрном рынке данных. Тем не менее эта цифра по России выросла в 16,75 раза и составила 187,6 млн записей. Первое место по числу обнаруженных утечек в дарквебе держат США, на втором месте — Россия. 🗞 Блог Кодебай #news #russia #data

​📱 «Лаборатория Касперского» дорабатывает свой мобильный телефон «Лаборатория Касперского» дорабатывает функционал своего защищенного от взломов мобильного телефона для работы с критической инфраструктурой. Ещё необходимо наладить работу камеры и улучшить производительность устройства. «Там еще не до конца готов функционал… Мы писали все с самого нуля, поэтому еще нужно доделывать. Камера не работает. Мы делаем, но это требует времени. Плюс производительность — там еще есть работа, чтобы он работал с той же скоростью, к чему мы привыкли. Там куча всяких технических проблем, с которыми мы потихонечку справляемся. Когда мы его покажем и скажем, что вот, готово — не знаю», — сказал директор компании Евгений Касперский. Устройство будет представлять из себя что-то среднее между смартфоном и кнопочным телефоном. Это не будет заменой современным популярным гаджетам, поскольку «это больше для работы с критической инфраструктурой», которой нужно управлять удаленно. 🗞 Блог Кодебай #news #russia #kaspersky

​📶 Эксплойт для критической уязвимости в Realtek SDK выложили на GitHub Исследователи из компании Faraday Security на конференции DEFCON рассказали о деталях эксплуатации критической уязвимости (CVE-2022-27255) в SDK для чипов Realtek RTL819x. Ошибка позволяет выполнить произвольный код на устройстве через отправку специального UDP-пакета. Она получила 9.8 баллов из 10 по шкале CVSS (статус критической). Примечательно, что уязвимость позволяет атаковать устройства, в которых отключён доступ в WEB-интерфейс для внешних сетей. CVE-2022-27255 представляет собой классическую проблему переполнения буфера на уровне стека. С помощью этой уязвимости злоумышленник может использовать специально созданные SIP-пакеты с вредоносными SDP-данными внутри для выполнения кода без аутентификации. Разработчики Realtek устранили баг в марте, отметив, что он затрагивает серии rtl819x-eCos-v0.x и rtl819x-eCos-v1.x. Согласно описанию, атаку можно совершить и через WAN-интерфейс. 🗞 Блог Кодебай #news #realtek #vulnerability

​В Госдуме предложили разблокировать Instagram* для малого бизнеса Депутаты Госдумы предлагают снять блокировку с социальной сети Instagram*. Это хотят сделать после проверки на наличие нарушений и их исправления. Разблокировать сеть предлагают «в интересах российского малого бизнеса». Просьбу уже передали в Генпрокуратуру. «Рекламный рынок малого и среднего бизнеса на 100% концентрировался в Instagram. По экспертным оценкам, в прошлом году он оценивался от 12 до 15 млрд рублей. В 2020 году — в 18 млрд рублей. Это был один из немногих способов для продвижения своего товара и услуг малому и среднему бизнесу», — рассказал председатель комитета Госдумы по малому и среднему предпринимательству Александр Демин. Такое заявление объясняется рядом причин. Во-первых, с момента блокировки Instagram* в России приложения для обхода блокировок (VPN) скачали более 24 млн раз, а это значит, что поставленная задача все равно не решена. Во-вторых, социальная сеть была заблокирована из-за недопустимого контента — теперь такой контент модерируется и удаляется. Так же, ещё не появилась площадка, функционал которой был бы аналогичен заблокированной платформе. * — Социальная сеть Instagram принадлежат компании Meta, признанной в России экстремистской организацией, ее деятельность в стране запрещена. 🗞 Блог Кодебай #news #russia #information

​Проделки Майкрософт: развенчание абсолютной безопасности от Билла Гейтса, часть вторая - Android vs IOS И все мы мечтаем быть богатыми: миллионерами или даже миллиардерами, наверное, не сыскать личности, которая не желала бы кучу денег, а все отрицающие - явно лжецы. Более того, я думаю, что большинство из Вас уверены, что рано или поздно это произойдет. В современном мире чтобы стать успешным больше не нужно вспахивать огород своей прабабушки в поисках нефти, достаточно лишь создать простенький сайт или приложение, которые тут же подхватят инвесторы, и вот…Вуаля, стозначные числа уже у Вас на счету, но есть один нюанс, как и в прошлом веке нужно с чего-то начинать - поднимать свою пятую точку с дивана и что-то делать, а делать-то не очень и хочется. В прошлой части вроде как я обещал проверить защищенность мобильных устройств с установленным “антивирусом” от Майкрософт, да? Ладненько, так уж и быть. 📌 Читать далее #history #microsoft

​Попытка активации операционной системы от MS с помощью Python Активация операционной системы Windows, дело сугубо индивидуальное. Кто-то активирует ее с помощью купленных ключей, кто-то, как придется. Есть такое мнение, что политика Microsoft в отношении пиратства довольно лояльна еще и потому, что используя ее продукты у человека появляется привычка. И рано или поздно, он все равно купит лицензионный ключ. А значит, здесь просто коммерческий интерес. Но, речь сейчас не об этом, а о том, как попробовать активировать ОС с помощью Python. 📌 Читать далее #python #windows

​✅ Хотите эффективно тестировать веб-приложения на проникновение? 1 сентября стартует летний поток курса WAPT После прохождения 4-месячного онлайн-курса WAPT вы сможете: ✔️ Находить уязвимости в веб-приложениях без использования сканеров; ✔️ Повышать привилегии на скомпрометированном сервере; ✔️ Выстраивать защиту веб-сервисов от популярных видов атак; ✔️ Закрепите основы работы клиент-серверных веб-приложений; ✔️ Сможете участвовать в Bug Bounty и зарабатывать деньги! Курс от Codeby School будет полезен специалистам, которые уже знают основы работы TCP/IP и HTTP, а также умеют пользоваться командной строкой OS Linux. Преимущества курса «Тестирование WEB-приложений на проникновение»: ✱ Максимум практики – выполнение заданий на тестовом стенде и проверка ДЗ; ✱ Обучение в любое время благодаря методичкам и видеоурокам в записи; ✱ Обратная связь от учеников и преподавателя в чате Telegram; Записаться на курс можно по ссылке: https://web-pentest.codeby.school/ #CodebySchool

​Эхо террора: сказание о Zerologon или как АНБ опять подставило весь мир под удар - взломать Пентагон было проще, чем ты думаешь Салам. Сегодня статья будет весьма необычной, но менее интересной от этого она отнюдь не становится, и я поведаю вам истории, которые больше походят на теории заговора и даже если это все окажется выдумкой, то как минимум будет поучительно. Почему? Да потому что эти истории наглядно покажут, как небольшие человеческие оплошности приводят к фатальным последствиям. И это применимо ко всему. Поехали. 📌 Читать далее #history

​Раскрыты более 1900 номеров телефонов пользователей Signal В результате фишинговой атаки на Twilio злоумышленники получили доступ к телефонным номерам и SMS-кодам подтверждения почти 2000 пользователей мессенджера Signal. Важно отметить, что доступа к истории сообщений, информации профиля или спискам контактов злоумышленники не получили, так как эти данные хранятся непосредственно на устройстве пользователя. Для пострадавших пользователей компания отключит аутентификацию на всех устройствах и потребует повторно войти в аккаунт Signal со своим номером телефона. 🗞 Блог Кодебай #news #messenger #data

​🎓 Реально ли пройти WAPT школьнику? Приветствую всех, друзья. Как вы уже могли догадаться по названию, в этой статье речь пойдёт о моём прохождении курса WAPT. Для тех, кто не в теме - курс познакомит вас с тестированием WEB-приложений на проникновение и расскажет о самых распространённых уязвимостях на сайтах. 📌 Читать далее #learning #school #feedback